EU CRA 漏洞處理與支援期：上市後的持續責任

產品已經出貨、甚至停產，製造商還需要負責安全更新嗎？

歐盟《網路韌性法》（Cyber Resilience Act, CRA）將於 2027 年 12 月 11 日全面適用。CRA 明確要求製造商在產品支援期間，持續管理漏洞並提供必要的安全更新。產品上市，不代表資安責任就此結束。

2027 年 12 月 11 日起上市的產品，在其支援期內，即使該機種已停產，製造商仍須處理漏洞並提供安全更新；遭主動利用漏洞的通報義務（第 14 條）則不受支援期限制，且自 2026 年 9 月 11 日起，也適用於 2027 年 12 月 11 日前已上市的產品。

📌 CRA 漏洞處理與支援期重點（摘要）

🔹 漏洞處理與揭露： 建立協調式漏洞揭露（CVD）政策及對外回報管道，確保收到漏洞通報後，能進行風險評估、修補與追蹤。
🔹 安全更新： 安全更新原則上應免費提供（例外：製造商與企業客戶對客製化產品另有約定），並在技術可行時與功能更新分開發布，確保使用者能及時修補漏洞。
🔹 產品支援期： 支援期應反映產品的預期使用期間，並考量使用者合理期待、產品性質與用途等因素；原則上至少 5 年，只有產品預期使用不到 5 年時，才可依該較短期間訂定。判定依據須記錄在技術文件中。製造商應在購買時以清楚易懂、容易取得的方式，標示支援期截止日（至少到年月）。
🔹 安全更新保留期： 支援期內發布的每一項安全更新，自發布起須持續可供取得至少 10 年；若支援期剩餘時間更長，則保留至支援期結束，以較長者為準。
🔹 第三方元件漏洞： 當產品內含的第三方或開源元件發現漏洞時，製造商須通報該元件的製造者或維護者，並依 CRA 漏洞處理要求自行處理、修補自家產品；若自行開發了修正，應與該元件的維護者分享相關程式碼或文件。

🔍 您的企業是否也面臨以下問題？（以下為常見產業情境示意，非法規要求）

🖥️ 工業電腦（IPC）： 產品可能長期使用 5 年以上，即使已停產，客戶仍在現場運作。當韌體發現漏洞時，哪些機種與版本仍需要支援？
🌐 網通設備： 韌體需要長期維護，但不同客戶可能使用不同版本。如何確認各版本的修補與更新狀態？
🔋 儲能系統（ESS）： EMS、BMS 等系統具有長期維運需求。當發生資安漏洞，如何追蹤修補、驗證及部署紀錄？

💡 企業該如何準備？

建議從三個方向建立管理機制：
✅ 建立 PSIRT 窗口： 統一接收漏洞通報，定義評估、修補、驗證與發布流程。
✅ 明確定義支援期： 依產品機種及預期使用期間，管理支援截止日期。
✅ 建立版本與漏洞追溯： 將漏洞、受影響元件、韌體版本、安全更新及測試紀錄建立關聯。
⚠️ CRA 的重點不只是發布修補程式，而是能持續掌握每個產品版本的漏洞處理與安全更新狀態。

👉 想了解如何建立漏洞管理流程、產品支援期及安全更新追溯機制？

歡迎與安盛資訊聯繫。

📩 聯絡安盛資訊： sales@anselm.com.tw

延伸閱讀：EU CRA 網路韌性法系列文章｜上一篇：EU CRA 漏洞通報：24 小時預警與 72 小時通報｜下一篇：EU CRA 系統整合：串接 PLM、SBOM 工具與 Polarion

本文僅供一般資訊參考，不構成法律意見。官方來源：Regulation (EU) 2024/2847（第 13、14、69 條及附件一第二部分）；歐盟執委會 CRA 實施指引。